Tài liệu Quản trị và vận hành mạng - phần 2 pdf

QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC QUẢN TRỊ AN NINH MẠNG Mục tiêu Mục tiêu của quản trị an ninh mạng là loại trừ mọi sự thâm nhập trái phép vào tài nguyên mạng và phá hoại mạng. Công việc bắt đầu bằng việc xây dựng một chính sách đảm bảo an ninh mạng cho toàn cơ quan và hệ thống đảm bảo thực thi nó. Tiếp đó là công việc hàng ngày ngăn chặn mọi hành vi xâm phạm trái phép và chu trình cập nhật định kỳ các thông tin về an ninh mạng. I. Chính sách đảm bảo an ninh mạng và các phương pháp. Phát triển một chiến lược an toàn. Chiến lược an toàn không được dựa trên sản phẩm hay công nghệ hiện tại hoặc tương lai. Nó phải được dựa trên nhu cầu chức năng và những hiểm hoạ đe doạ tổ chức. Phần hóc búa nhất tròn phần phát triển chiến lược an toàn là cần xác định xem phải đảm bảo ana toàn cho cái gi, và ngăn ngừa ai. An toàn có giá của nó, mỗi lần nâng cấp ana toàn phải trả giá về độ phức tạp khi truy cập, mất thêm thời gian và hạn chế năng lực truyền thông. Trước khi phát triển một chiến lược thì điều quan trong là phải hiểu biết khái niệm về hiểm hoạ, khi nói về hiểm họa đối với sự an toàn thì phải nhớ rằng hiểm hoạ gồm cả số liệu khách quan và nhận thức chủ quan dựa trên tâm lý cá nhân. Về lý thuyết công thức cơ bản để xét về các yếu tố khách quan khá đơn giản. Ta chỉ cần ước lượng về mức độ quan trọng của thông tin đối với những người không được phép biết, về mức độ họ phải trả giá khi vi phạm luật pháp để lấy thông tin và về thiệt hại của cơ quan khi mất thông tin. Cho nên mục tiêu là phải đảm bảo giá trị của thông tin được bảo vệ cao hơn chi phí để bảo mật thông tin. Trong thực tế công thức này phức tạp hơn vì giá trị của thông tin thường là một khái niệm chủ quan và gía trị đối với người phá hoại có khi không phải ở bản thân tin tức mà chỉ vì mục đích khiêu khích hoặc báo thù. Một vấn đề là cần bảo mật nhưng không nên tốn kém qúa nhiều cho việc bảo mật thông tin mà đối thủ có thể lâý qua những con QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC đường khác. Điều quan trọng nhất khi đưa ra một chính sách bảo mật là xác định cần bảo vệ thông tin nào. Việc đó là do cá nhân sở hữu thông tin đưa ra quyết định. Thiết lập một chính sách an toàn. Bước đầu tiên khi lập ra một chính sách an toàn cho intranet là viết ra một văn bản hiến chương. Hiến chương này gồm hai phần: công bố các mục tiêu và công bố trách nhiệm. Những mục tiêu được chọn phải làm cho người đọc có một ý niệm là cơ quan đứng ở chỗ nào trên cán cân giá trị so với chi phí, nhu cầu kinh doanh so với hiểm hoạ, sự cởi mở so với khép kín, và đâu là vị trí tối ưu trong sự cân bằng đó. Chính sách là cởi mở tất cả trừ một vài điểm cấm hay cấm tất cả trừ một vài điểm mở. Điều đó sẽ có những tác dụng và hậu quả khác nhau đói với năng xuất và tính sáng tạo của tổ chức. Bước thứ hai để tạo ra chính sách an toàn cho mạng là tạo ra một qui trình thành văn mô tả về trách nhiệm đảm bảo an toàn mạng thuộc về ai, được ban hành thế nào và có tính pháp lệnh như thế nào. Văn bản này bao gồm hai phần: phần về quản lý và phần về cá nhân sử dụng. Phần về quản lý phải mô tả trách nhiệm từng cấp tổ chức và quản lý. Các đối tượng cần đảm bảo an toàn và cách giám sát là một phần quan trọn trong chương này. Các đối tượng phải phù hợp với những mục tiêu mà hiến chương đã đề ra. ở những chố thích hợp, cần nêu ra các tiêu chuẩn để đưa ra những quyết định liên quan đến mục tiêu và chính sách của cơ quan. Tiêu chuẩn về phân loại mức an toàn là rất cần thiết để giúp nhà quản lý phải quyết định xem xếp từng loại thông tin vào đâu. Phần về trách nhiệm của nhân viên phải rất rõ ràng co nêu cả những hình phạt khi vi phạm. Tất cả các qui định đều phải được phổ biến đến từng nhân viên. Xây dựng những bảng ưu tiên. Một trong các phương pháp phổ biến để giám sát truy cập thông tin trên máy tính là dùng các bảng ưu tiên. Một bảng ưu tiên có một dòng về các lớp bảo mật của thông tin và một danh sách tất cả nhưng người dùng có thể truy cập vào hệ thống. Các ô ở trong bảng dùng để ghi sự ưu tiên truy cập cho từng người dùng. Trong mỗi ô có thể xác định một người dùng nào đó được hay không được quyền truy cập. QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC Các bảng ưu tiên được dùng phổ biến vì nó là một tài liệu được định dạng rất thuận lợi cho việc ghi vào một chương trình điều khiển tự động việc truy cập. Khi một người dùng muốn truy cập một thông tin nào đó thì thoạt tiên hệ thống xem xét xem đó là ai. Khi người này cần thông tin cụ thể nào thì phần mềm kiểm tra xem bảng ưu tiên để xem anh ta có được phép hay không. Hệ thống này không những đơn giản việc quản lý những người truy cập mà còn làm đơn giản việc truy cập cho người dùng. Chính là nhờ có bảng ưu tiên mà người dùng chỉ phải xưng danh một lần chứ không phải mỗi lần khi truy cập lại xưng danh. Một trong những cách khi xây dựng bảng ưu tiên của xí nghiệp là xác định độ mịn của các trường. Đứng về phía quan điểm quá trình thì nên xếp các người dùng thành từng lớp riêng biệt và quyết định theo lớp hơn là theo cá nhân. Tương tự cũng nên xếp thông tin theo lớp và quyết định theo lớp hơn là theo thông tin riêng biệt. Về lý thuyết đây là việc thích ứng thông tin với lớp người dùng. Để cho có hiệu quả, khi xây dựng bảng ưu tiên cho nên có sự tham gia của các tổ chức tạo ra và quản lý thông tin. Các phương pháp chủ yếu trong quản trị an ninh mạng là xác thực người dùng và kiểm soát truy nhập, mã hoá dữ liệu, kiểm soát truy cập router, bức tường lửa và quản lý truy cập từ xa. 1. Xác thực người dùng và quản lý truy cập Cần thiết lập cơ chế xác thực người dùng và kiểm soát truy cập vào các tài nguyên mạng. Thông thường quá trình đăng nhập mạng thực hiện việc xác nhận người dùng bằng cách kiểm tra tên (userID) và mật khẩu theo một cơ sở dữ liệu người đã được thiết lập từ trước và luôn được cập nhật. Việc kiểm soát truy cập giới hạn phạm vi và quyền truy cập tài nguyên mạng cho những người dùng đã được quyền vào mạng. 2. Mã hoá dữ liệu Khoá mã công nghệ quan trọng nhất cho sự an toàn của mạng. Ngoài sự bảo vệ thông tin đang truyền tải nó còn những công dụng khác nữa là đảm bảo sự toàn vẹn của nội dung thông tin trong tài liệu hay hợp đồng hợp pháp kháckhi hai bên đã đi đến thoả QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC thuận. Một vài kiểu khoá mã dùng những phần cứng đặc biệt, nhưng cũng có khi chỉ hoàn toàn là phần mềm. Khoá mã dùng công thức toán để xáo trộn thông tin. Những người sử dụng công thức cung cấp một chìa khoá (1 từ hoặc 1 chuỗi ký tự) mà công thức đã dùng để tạo ra khoá mã duy nhất. Ngày nay có hai loại chìa khoá. Loại thứ nhất gọi là khoá đối xứng, nghĩa là cùng một chuỗi ký tự vừa làm dùng để mã hoá thông tin lại vừa để hoàn nguyên thông tin về dạng bình thường. Loại thứ hai gọi là khoá không đối xứng vì chuỗi ký tự dùng để mã hoá thông tin thì không có khả năng hoàn nguyên nó về dạng bình thường. Phải dùng một chuỗi ký tự khác để giải mã thông tin. Số ký tự trong một khoá là một yếu tố để xác định độ khó trong việc đoán ra khoá và giải mã thông tin. Các khoá không đối xứng có vài cách sử dụng rất thực dụng, chẳng hạn một trong hai chìa khoá có thể đưa ra công cộng, còn có chìa khoá kia thì giữ riêng. Bằng cách đó nếu ai muốn gửi một bản tin bảo mật thì họ khoá mã bằng chìa khoá công cộng của người nhận, là người duy nhất giữ chìa khóa riêng mình, có thể giải mã. Như vậy là không còn thương lượng và không phải ghi nhớ chìa khoá duy nhất của từng đối tác khi cần trao đổi thông tin. 3. Kiểm soát truy cập router Điều này cho phép kiểm soát các gói tin chuyển qua các cổng của router dựa trên danh sách kiểm soát truy cập router (hay điều kiện lọc). Danh sách truy cập này xác định điều kiện cho phép các gói qua… qua. 4. Bức tường lửa Để giải quyết vấn đề bảo vệ mạng nội bộ khỏi những kẻ phá hoại bên ngoài thâm nhập vào thông tin và giành quyền điều khiển các tài nguyên máy móc trong mạng nội bộ giải pháp được lựa chọn là sử dụng bức tường lửa (fire wall) để tạo ra một giao diện bảo mật nằm giữa mạng bên trong và mạng bên ngoài. Firewall cho phép kiểm soát việc truyền thông giữa hai mạng, và như vậy cũng có chức năng hạn chế người dùng bên trong truy nhập tới các dịch vụ thông tin bên ngoài. Firewall có thể khác nhau tuỳ QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC theo chức năng và kỹ thuật thực hiện. Tuy nhiên, hoạt động của chúng gắn liền với họ giao thức TCP/IP tức là liên quan đến các gói dữ liệu nhận được từ dịch vụ mạng chạy trên các giao thức (Telnet, SMTP, DNS, SMNP, NFS…) và điạ chỉ IP của chúng. Bức tường lửa (Firewall) Sơ bộ có thể chia Firewall thành các dạng sau: 1) Bộ lọc chần (Screening Filter) sử dụng router để nối mạng riêng với bên ngoài. Loại này kiểm tra điạ chỉ IP các gói dữ liệu đi qua để kiểm soát việc truy cập từ bên ngoài vào các máy và ports ở mạng riêng bên trong, đồng thời hạn chế việc truy nhập từ trong ra ngoài. Tuy nhiên chúng không có khả năng kiểm soát truy cập ở mức ứng dụng. 2) Bastion chuyển bản tin từ/đến những người sử dụng có thẩm quyền và từ chối phục vụ những người khác. Loại này có thể kiểm tra truy nhập ở mức (layer) người sử dụng hay mức ứng dụng. Tuy nhiên giá thành sẽ cao khi số người sử dụng tăng lên, ngoài ra kẻ phá hoại có thể tìm cách biết được thông tin để giả mạo người sử dụng có thẩm quyền, chui vào mạng bên trong. 3) Phối hợp hai kỹ thuật nêu trên để tạo ra độ mềm dẻo và hiệu quả an ninh tối đa. QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC Về mặt vật lý Firewall bao gồm một hay nhiều máy chủ kết nối với các bộ dẫn đường hoặc có chức năng dẫn đường. Hiện nay nhiều sản phẩm Firewall được đưa ra để tạo cổng kết nối mạng bảo mật (Secured Network Gateway-SNG). Những tính năng chính của Firewall được SNG hỗ trợ trong cụ thể hoá các dịch vụ sau: 1) Đường hầm IP bảo mật (Secured IP tunnels)-thường dùng để kết nối mạng nội bộ nhằm phân tần, sử dụng đường truyền công cộng. Các gói dữ liệu IP cùng headers ở đầu gửi được đóng trong một gói mới (encapsulation) và được mã hoá trước khi truyền đi. Firewall ở đầu nhận sẽ bóc gói ra (giải mã) và trả lại dữ liệu ban đầu. Người quản trị Firewall sẽ quyết định mức độ bảo vệ và loại thông tin được bảo vệ. Người sử dụng không cần quan tâm đến quá trình xảy ra. • Secure IP Tunnels Inte l Internal Networ k Internet FW One FW Two IP - Encapsulate IP on IP - Encrypt using DES/CDMP - Virtual Private Networks Đường hầm bảo mật IP 2) Bộ lọc IP (IP Filter) – dùng để giới hạn việc trao đổi thông tin chỉ cho một nhóm người sử dụng và các ứng dụng định trước. Việc cho đi qua hay loại bỏ các gói dữ liệu dựa trên các địa chỉ IP nguồn và đích, kiểu của giao thức IP, các gói dữ liệu được chuyển đi từ/đến Firewall hay chỉ được dẫn qua. QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC UDP,ICMP,TCP w/ack • Source/Dest IP address,port,direction, Seamless, transparent access • Vorlfy connection information • Monitor TCP to set up dynamic UDP filltering • Roveals & uses internal IP addresses • Trust based upon IP address Expert Filter 3) Máy chủ uỷ quyền – nhận yêu cầu của người dùng trong mạng nội bộ, rồi thực hiện kết nối với thông tin bên ngoài. Như vậy có thể kiểm soát được người dùng (và hạn chế các ứng dụng họ yêu cầu) trước khi gửi các yêu cầu ra ngoài mạng và giấu được địa chỉ ở mạng trong (chỉ công khai ra ngoài điạ chỉ Firewall). Tương tự có thể kiểm soát và cho phép người dùng bên ngoài vào khai thác tài nguyên thông tin ở mạng bên trong. QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC • Non- transparent • Hides internal IP addresses (outbound) • Trust granted to authenticated inđviual Application proxy gateway 4) Máy chủ SOCKS – nhận yêu cầu của người dùng mạng bên trong có phần mềm client đã được máy SOCKS hoá và kết nối anh ta với các ứng dụng bên ngoài. So với máy chủ uỷ quyền phương thức này tiện hơn cho người dùng mạng bên trong, giảm tải trên Firewall nhưng không thích hợp để kiểm tra người dùng bên ngoài thâm nhập vào. • Seamless, transparent access • Hides Internal IP addresses • SOCKS V5 adds UDP and Indentification and Authentication Socks Circuit Gateway QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC 5) Dịch vụ vùng tên (Domain Name Service) – chỉ đáp ứng các yêu cầu từ mạng bên ngoài với những thông tin quyết định đưa ra công khai, bảo vệ mạng nội bộ khỏi những kẻ khai thác thông tin để mạo danh như người sử dụng có thẩm quyền. • External DNS reveals only public addresses • Internal DNS reveals company host addresses to secure network Domain Name Service 6) Secure mail relay- cung cấp giao diện điện thư tín bảo mật với mạng bên ngoài và chuyển tiếp đến Mail server ở trong mạng nội bộ đảm bảo các chức năng thư tín đầy đủ. QUẢN TRỊ AN NINH MẠNG TATA Jsc. - CIC Mail Forwarding 5. Quản lý truy cập từ xa Giao thức xác thực mật khẩu (PAP) là lược đồ xác thực được các máy phục vụ PPP dùng để xác nhận tính hợp lệ của người yêu cầu kết nối từ xa. PAP áp dụng thủ tục bắt tay hai chiều. Sau khi kết nối được thiết lập người yêu cầu gửi tên và mật khẩu để máy phục vụ kiểm tra. Máy phục vụ gửi lại xác nhận nếu đúng. Trong trường hợp ngược lại sẽ ngắt kết nối và yêu cầu gửi lại tên, mật khẩu để kiểm tra. Giao thức các thực bắt tay- khẩu lệnh (Challenge- Handshake Authentication Protocol – CHAP) là lược đồ xác thực được các máy phục vự PPP dùng để xác nhận tính hợp lệ của người yêu cầu kết nối và vào thời điểm bất kỳ sau đó. CHAP áp dụngthủ tục bắt tay ba lần. Sau khi kết nối được thiết lập máy phục vụ gửi “khẩu lệnh” đến cho người yêu cầu. Người yêu cầu gửi lại một giá trị được tính ra từ đó bằng cách sử dụng hàm bâưm (Hush) một chiều. Máy phục vụ kiểm tra lại giá trị đó so với tính toán của chính mình. Nừu khớp sẽ công nhận tính sát thực, nếu không sẽ ngắt kết nối. RADIUS (Remote Authentication Dial-in User Services) và TACACS (Terminal Access Controllor Access System) là các giao thức dành riêng để giải quyết việc xác thực giữa máy phục vụ truy cập và máy phục vụ xác thực. [...]... CỤ QUẢN TRỊ MẠNG TATA Jsc - CIC CÁC CÔNG CỤ QUẢN TRỊ MẠNG Giới thiệu chung Dưới đây là danh sách các công cụ quản trị vận hành mạng (ngoài các công cụ do hệ điều hành mạng cung cấp) va miền ứng dụng của chúng Các công cụ quản trị Phần cứng Phần mềm chuyên dụng Quản trị tài nguyên Quản trị lỗi Bộ phân Thiết bị tích mạng kiểm tra LAN chuyên dụng Quản hiệu suất trị C C CÔNG CỤ QUẢN TRỊ MẠNG TATA Jsc -. .. QUẢN TRỊ MẠNG TATA Jsc - CIC Chương V: Thiết lập và quản lý các tài khoản người dùng và nhóm . 125 5.1 Khái niệm chung . 125 5 .2 Thiết lập và quản lý tài khoản người dùng . 128 5.3 Thiết lập và quản lý tài khoản nhóm .153 5.4 Quản lý các chính sách nhóm 159 Chương VI: Quản lý và chia sẻ tài nguyên mạng 166 6.1 Cơ sở của việc chia sẻ dùng chung tập tin 166 6 .2 Thiết... nhất Bảo dưỡng mạng TATA Jsc - CIC NHIỆM VỤ NGƯỜI QUẢN TRỊ MẠNG • Phòng ngừa, phát hiện và giải quyết các vấn đề trên mạng • Sao lưu bảo vệ dữ liệu • Giám sát và chấn chỉnh khong gian đĩa các máy phục vụ • Bảo vệ mạng khỏi virus • Xử lý sự cố hỏng hóc trên mạng TATA Jsc - CIC NHIỆM VỤ NGƯỜI QUẢN TRỊ MẠNG TATA Jsc - CIC PHẦN IV QUẢN TRỊ MẠNG WINDOWS 20 00 MỤC LỤC chương I: Tổng quan về window 20 00 ... và TDR (Time Domain Reflectometer- gửi dung tín hiện len cáp đang kiểm tra va theo dõi tín hiệu phản xạ NHIỆM VỤ NGƯỜI QUẢN TRỊ MẠNG NHIỆM VỤ CỦA NGƯỜI QUẢN TRỊ MẠNG Quản lý người dùng • Tạo, xóa và quản lý tài khoản người dùng • Đảm bảo mạng không bị truy cập trái phép • Phân bổ quyền truy cập tài nguyên mạng cho các người dùng • Đào tạo và hỗ trợ người dùng trên mạng Quản trị tài nguyên mạng • Quản. .. mạng • Quản trị tài sản • Triển khai và hỗ trợ cho các thiết bị trên mạng • Nâng cấp và thay thể các thiết bị mạng • Gắn/bỏ máy tính trong mạng Quản trị cấu hình • Hoạch định cấu hình mạng trước khi triển khai, lắp đặt • Hoạch định mở rộng mạng và lập hồ sơ cấu hình mạng • Cài đặt phần mềm mới và nâng cấp các phần mềm sẵn có Quản trị hiệu suất mạng • Giám sát hoạt động của mạng • Hiệu chỉnh mạng nhằm... kết nối vào mạng Cho biết những nút mạng được thêm vào hay tách ra Cho biết thông tin về cấu hình mạng như các địa chỉ thông tin định tuyến Quản trị lỗi (quản trị Theo dõi trạng thái các nút mạng trạng thái) Quản trị hiệu suất Quản trị phân cấp Nút thường mạng C C CÔNG CỤ QUẢN TRỊ MẠNG TATA Jsc - CIC Hỗ trợ vận hành (O: Có hỗ trợ, +: hỗ trợ một phần, -: không hỗ trợ) Sản phẩm loại này thường được đóng... TATA Jsc - CIC Hệ thống quản trị mạng tích hợp (SNMP manager) 1 Một số khái niệm Hệ thống quản trị mạng tích hợp dựa trên giao thức ở tầng ứng dụng tên là SNMP cho phép trao đổi thông tin quản trị giữa các thiết bị mạng Một mạng quản trị bởi SNMP có các thành phần sau: SNMP manager, agents và các thiết bị quản lý được (managed đevices) Các thiết bị quản lý được là phần tử trên mạng như router, máy phục... đặt module phần mềm quản trị SNMP agent Tại đây các thông tin phục vụ cho công việc quản trị mạng được thu thập, lưu giữ để SNMP manager sử dụng Agents có chức năng chuyển đổi thông tin quản trị tại chỗ về dạng tương thích với SNMP Manager là phần mềm quản trị trên môi trường TCP/IP, được cài trên một hay một vài máy trạm trong mạng, để giám sát và điều khiển các thiết bị mạng SNMP manager và agents... thực phần cứng và phần mềm máy tính Một công cụ nữa là khả năng điều khiển từ xa: • Người quản trị trao đổi với người dùng (Chatting) • Truyền file giữa người quản trị và người dùng • Hiển thị màn hình của người dùng tại máy của người quản trị kiểm tra • Phân phối phần mềm Công cụ quản trị sao lưu Các công cụ quản trị sao lưu cung cấp bổ sung một số chức năng ngoài các chức năng chuẩn của người điều hành. .. vào mạng Window 20 00 Server 185 8.1 Các khách hàng của Windows 20 00 185 8 .2 Windows 20 00 Professional là khách hàng mạng 185 NHIỆM VỤ NGƯỜI QUẢN TRỊ MẠNG TATA Jsc - CIC 8.3 Windows NT Workstation 4.0 là khách hàng mạng 190 8.4 Windows 95 và Windows 98 là khách hàng mạng 191 8.5 Tạo khả năng hoạt động cho Windows For Workgroup 196 8.6 Sử dụng các lệnh khách hàng mạng 20 0 . tuyến Quản trị lỗi (quản trị trạng thái) Theo dõi trạng thái các nút mạng Quản trị hiệu suất Quản trị phân cấp CC CÔNG CỤ QUẢN TRỊ MẠNG TATA Jsc. - CIC. Phần mềm Quản trị tài nguyên Quản trị lỗi Thiết bị kiểm tra chuyên dụng Quản trị hiệu suất Bộ phân tích mạng LAN CC CÔNG CỤ QUẢN TRỊ MẠNG TATA Jsc. - CIC